Le Guide de l'Entreprise pour Configurer le WiFi Invité : Sécurité, Segmentation et Vitesse

Speak in British English with a confident, authoritative, and conversational tone - like a senior network consultant briefing a CTO before a board meeting. Measured pace, clear diction, occasional dry wit. Professional but not stiff: Bienvenue dans ce point technique de Purple. Je suis votre hôte, et nous abordons aujourd'hui un sujet qui se situe précisément à la croisée des casse-têtes informatiques et des véritables opportunités commerciales : la configuration correcte du WiFi invité. Pas la version "branchez un routeur et croisez les doigts". La version entreprise. Celle qui satisfait vos auditeurs, maintient vos invités connectés et préserve l'intégrité de votre réseau d'entreprise. [courte pause] Commençons par le contexte. Le WiFi invité n'est plus un luxe. C'est une infrastructure. La plateforme de Purple est déployée sur plus de 80 000 sites actifs - de Premier Inn à Manchester Airports Group, de Harrods à McDonald's. Et le point commun entre chacun de ces déploiements ? Dès que le WiFi invité tombe en panne, subit une faille ou échoue à un audit de conformité, cela devient la panne informatique la plus visible du bâtiment. Alors, assurons-nous que cela ne vous arrive pas. [courte pause] Première partie : l'architecture. Qu'est-ce que nous construisons concrètement ? Un déploiement de WiFi invité bien conçu comprend trois zones réseau distinctes, parfois quatre. La zone 1 est votre réseau invité - accès internet uniquement, totalement isolé de votre infrastructure d'entreprise. La zone 2 est votre réseau personnel - authentifié, chiffré, avec accès aux ressources internes. La zone 3 est votre réseau IoT - systèmes de gestion technique du bâtiment, imprimantes, capteurs, tous isolés à la fois des invités et du personnel. Et si vous êtes dans le commerce de détail ou l'hôtellerie, la zone 4 est votre LAN d'entreprise, qui contient vos systèmes de point de vente et tout ce qui touche aux données des titulaires de cartes. Le mot clé ici est isolé. Pas séparé par un mot de passe. Pas sur un SSID différent qui partage par hasard le même sous-réseau. Véritablement isolé, au niveau de la couche réseau, à l'aide de VLANs - Virtual Local Area Networks - avec des règles de pare-feu dynamique entre chaque zone. [courte pause] Pourquoi est-ce si important ? Deux mots : PCI-DSS. Le PCI-DSS - la norme de sécurité des données de l'industrie des cartes de paiement - exige que tout réseau acheminant des données de cartes de paiement soit complètement séparé de tout réseau accessible aux invités. Si votre WiFi invité et vos terminaux de point de vente partagent le même segment de réseau, l'ensemble de votre parc entre dans le champ d'application de la norme PCI. Cela implique des analyses de vulnérabilité externes trimestrielles, des tests d'intrusion annuels et une charge de conformité qui coûte bien plus cher que la configuration de VLAN que vous avez évitée. La solution est simple. Le VLAN 10 pour les invités. Le VLAN 20 pour le personnel. Le VLAN 30 pour l'IoT. Le VLAN 1 pour votre LAN d'entreprise. Des règles de pare-feu qui interdisent explicitement tout trafic du VLAN 10 vers les VLAN 20 et 1. C'est fait. Votre champ d'application PCI diminue considérablement. [courte pause] Parlons maintenant de chiffrement. La norme que vous devez déployer aujourd'hui est le WPA3 - la norme Wi-Fi Protected Access 3, ratifiée par la Wi-Fi Alliance. Le WPA3 remplace le WPA2 et corrige deux vulnérabilités critiques : il élimine le vecteur d'attaque KRACK et introduit l'authentification simultanée d'égaux - SAE - qui empêche les attaques par dictionnaire hors ligne contre les poignées de main capturées. Pour les réseaux invités spécifiquement, le WPA3 en mode Enhanced Open, également appelé OWE - Opportunistic Wireless Encryption - mérite d'être compris. L'OWE chiffre le trafic entre chaque appareil et le point d'accès sans nécessiter de mot de passe. Les invités se connectent de manière transparente, mais leur trafic est chiffré en transit. Fini le sniffing passif sur les réseaux ouverts. Pour le réseau de votre personnel, vous devez utiliser le WPA3 Enterprise avec l'authentification 802.1X. Le 802.1X est la norme IEEE pour le contrôle d'accès réseau basé sur les ports. Il utilise un serveur RADIUS - Remote Authentication Dial-In User Service - pour authentifier chaque appareil individuellement avant d'accorder l'accès au réseau. L'appareil présente des identifiants, le serveur RADIUS les valide par rapport à votre fournisseur d'identité - Microsoft Entra ID, Okta ou Google Workspace sont les choix de référence - et ce n'est qu'alors que le point d'accès ouvre le port. [courte pause] Cela nous amène aux méthodes d'authentification. Au sein du 802.1X, vous disposez de plusieurs variantes EAP - Extensible Authentication Protocol. L'EAP-TLS utilise une authentification mutuelle basée sur des certificats. Le serveur et le client présentent tous deux des certificats. C'est l'option la plus sécurisée et celle recommandée pour tout environnement où vous déployez des appareils managés. L'EAP-TTLS et le PEAP - Protected EAP - utilisent un certificat côté serveur avec des identifiants de type nom d'utilisateur et mot de passe de la part du client. Ils sont plus faciles à déployer mais légèrement moins sécurisés. Pour les réseaux invités, vous n'utilisez pas le 802.1X. Vous utilisez un Captive Portal - une page web qui intercepte la session de navigation de l'invité et l'oblige à s'authentifier avant de lui accorder l'accès à internet. C'est au niveau du Captive Portal que le GDPR entre en jeu. [courte pause] Le GDPR - le Règlement général sur la protection des données - exige que toutes les données personnelles que vous collectez sur le Captive Portal reposent sur une base légale. Pour le WiFi invité, cette base est presque toujours le consentement. Et le consentement en vertu du GDPR doit être librement donné, spécifique, éclairé et univoque. Les cases pré-cochées ne comptent pas. Associer le consentement marketing à l'accès au réseau ne compte pas. Ce qui compte, c'est ce que Purple appelle l'opt-in par choix conscient. L'invité voit un choix clair et honnête : se connecter au WiFi, et éventuellement, cocher cette case s'il souhaite recevoir des communications marketing. L'accès au réseau et le consentement marketing sont des décisions distinctes. C'est conforme au GDPR. C'est également, soit dit en passant, la raison pour laquelle les données que vous collectez sont de meilleure qualité - parce que les personnes qui ont donné leur consentement le voulaient vraiment. Purple détient les certifications ISO 27001, GDPR, CCPA et Cyber Essentials. Cela signifie que lorsque vous déployez Purple en tant que couche de Captive Portal, le cadre de conformité est déjà intégré. Vous ne partez pas de zéro. [courte pause] Section deux : l'approfondissement technique. Parlons spécifiquement de matériel et de déploiement. Purple est indépendant du matériel. Il se déploie sous forme de surcouche cloud sur vos points d'accès existants. La liste du matériel compatible comprend Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Si vous utilisez l'un d'entre eux, vous configurez votre SSID invité pour qu'il pointe vers le serveur RADIUS de Purple ou le point de terminaison du Captive Portal, et la plateforme gère ensuite l'authentification, la capture de données et les analyses. La séquence de déploiement pour un hôtel ou un centre de conférence typique se présente comme suit. Premièrement, vous configurez vos VLAN sur le commutateur central. Deuxièmement, vous créez vos SSID sur le contrôleur sans fil - un pour les invités, un pour le personnel, un pour l'IoT. Troisièmement, vous associez chaque SSID à son VLAN correspondant. Quatrièmement, vous configurez vos règles de pare-feu pour imposer l'isolation des zones. Cinquièmement, vous pointez votre SSID invité vers le Captive Portal de Purple. Sixièmement, vous configurez votre SSID personnel pour qu'il s'authentifie auprès de votre serveur RADIUS, qui interroge à son tour votre fournisseur d'identité. Voilà pour la structure. Les détails font toute la différence. [courte pause] Concernant la gestion de la bande passante : les réseaux invités ont besoin de politiques de QoS - Quality of Service - pour éviter qu'un seul appareil ne sature votre liaison montante. Un point de départ raisonnable est de 10 mégabits par seconde en téléchargement et 5 mégabits par seconde en téléversement par appareil, avec une limite stricte au niveau du SSID. Pour les sites à forte densité - stades, centres de conférence - vous devrez envisager le band steering pour orienter les appareils compatibles vers la bande 5 gigahertz, et potentiellement 6 gigahertz si vos points d'accès prennent en charge le WiFi 6E. Concernant le DNS : votre VLAN invité doit utiliser un résolveur DNS qui filtre les domaines malveillants. Ce n'est pas optionnel si vous êtes dans le secteur de la santé ou de l'éducation - c'est une protection contre l'utilisation de votre réseau pour accéder à des contenus nuisibles. L'option Purple Shield fournit cette fonctionnalité directement au niveau de la plateforme. [courte pause] Section trois : les pièges de mise en œuvre et comment les éviter. Premier piège : les réseaux plats. Je vois encore cela dans les environnements de vente au détail. Un seul SSID, un seul sous-réseau, les invités et les terminaux de point de vente sur le même domaine de diffusion. Cela ne respecte pas l'exigence 1.3 de la norme PCI-DSS, qui impose une segmentation réseau entre les réseaux non approuvés et l'environnement des données de titulaires de cartes. Corrigez cela avec des VLAN avant votre prochaine visite de QSA. Deuxième piège : les certificats auto-signés sur les portails captifs. Lorsqu'un invité se connecte à votre réseau et que son navigateur affiche un avertissement de certificat, soit il clique pour passer outre - ce qui l'habitue à ignorer les avertissements de sécurité - soit il quitte la page. Utilisez un certificat TLS valide provenant d'une autorité de certification reconnue sur votre Captive Portal. Let's Encrypt est gratuit. Il n'y a aucune excuse. Troisième piège : pas d'expiration de session. Les sessions invités doivent expirer. Une expiration de session de 24 heures est raisonnable pour l'hôtellerie. Une expiration de 4 heures est appropriée pour le commerce de détail. Sans expiration, un appareil connecté il y a six mois possède toujours une session active - et apparaît potentiellement toujours dans vos analyses en tant que "visiteur". Quatrième piège : l'absence de journaux d'accès. Le GDPR et la plupart des réglementations nationales sur les télécommunications vous obligent à conserver les journaux de connexion - adresse IP, adresse MAC, horodatage, durée de la session - pendant une période définie. Purple les conserve automatiquement et les exporte dans des formats compatibles avec les requêtes des forces de l'ordre. Si vous utilisez un Captive Portal DIY, assurez-vous que votre journalisation est configurée et que votre politique de conservation est documentée. [courte pause] Section quatre : questions-réponses rapides. Ai-je besoin d'un SSID séparé pour les appareils IoT ? Oui. Les appareils IoT sont le vecteur le plus courant pour les attaques par mouvement latéral. Isolez-les. Puis-je utiliser un seul point d'accès pour les invités et le personnel ? Oui, s'il prend en charge plusieurs SSID mappés sur différents VLANs. La plupart des points d'accès d'entreprise le font. Assurez-vous simplement que le port de coffre (trunk) sur le commutateur est configuré correctement. Le WPA3 bloque-t-il les appareils plus anciens ? Certains appareils plus anciens ne prennent pas en charge le WPA3. Configurez votre SSID en mode de transition WPA2/WPA3 pour maintenir la compatibilité descendante tout en offrant le WPA3 aux appareils compatibles. Quelle est la différence entre Passpoint et un Captive Portal ? Passpoint - également connu sous le nom de Hotspot 2.0 - permet aux appareils de se connecter automatiquement à l'aide d'un identifiant pré-provisionné, sans interaction avec un Captive Portal. C'est l'idéal pour les visiteurs fréquents ou les membres de programmes de fidélité. Purple prend en charge Passpoint et OpenRoaming, qui étend la connexion automatique à travers un réseau fédéré de sites participants. [courte pause] Section cinq : résumé et étapes suivantes. Voici ce que vous devez retenir de ce briefing. Premièrement : segmentez votre réseau. Invités, personnel, IoT et LAN d'entreprise sur des VLANs séparés avec des règles de pare-feu explicites entre eux. C'est l'action la plus efficace que vous puissiez entreprendre pour la sécurité et la conformité. Deuxièmement : déployez le WPA3 là où votre matériel le prend en charge. Le WPA3 Enterprise pour le personnel. Le WPA3 Enhanced Open ou un Captive Portal pour les invités. Troisièmement : rendez votre Captive Portal conforme au GDPR. Séparez l'accès au réseau du consentement marketing. Utilisez des opt-ins à choix conscient. Conservez les journaux de connexion. Quatrièmement : utilisez une solution cloud indépendante du matériel (hardware-agnostic) comme Purple. Elle vous offre une expérience invité cohérente sur l'ensemble de votre parc, quel que soit le fournisseur de points d'accès que vous utilisez. Et elle transforme votre WiFi invité d'un centre de coûts en une source de données de première partie. Cinquièmement : mesurez-le. La plateforme d'analyse de Purple vous fournit des données de fréquentation, des temps de séjour, des taux de retour et des informations démographiques - le tout dérivé des données de connexion WiFi. C'est le genre d'informations qui justifie l'investissement dans l'infrastructure auprès d'un conseil d'administration qui ne se soucie pas des VLANs mais se soucie des revenus. [courte pause] Si vous souhaitez approfondir l'un de ces sujets, le guide écrit complet est disponible sur le site web de Purple. Il couvre la configuration VLAN, la configuration RADIUS, la cartographie des données GDPR, ainsi que des exemples concrets de déploiements dans les secteurs de l'hôtellerie, du commerce de détail et des stades. Merci d'avoir écouté le Purple Technical Brief. À bientôt pour le prochain.